Mealie是一款自托管的食谱管理和餐饮规划工具。在1.4.0版本之前，safe_scrape_html函数利用用户可控URL向远程服务器发出请求。根据响应的内容，它将解析内容或将其丢弃。该函数及调用它的其他函数对URL提供的限制或FQDN（即IP地址也可以提供）没有任何限制。由于该函数的返回将根据响应被其调用者不同处理，攻击者可以利用此功能来积极识别本地网络上具有任何IP/端口组合的HTTP(s)服务器。此问题可能导致任何经过身份验证的用户能够映射Mealie服务可以访问的本地网络上的HTTP服务器。请注意，默认情况下，任何用户都可以在Mealie服务器上创建账户，并且默认的changeme@example.com用户可以使用其硬编码密码。此漏洞已在1.4.0中得到修复。